什麼是 Cryptojacking？類型與真實世界範例

近年來，Cryptojacking 已成為最嚴重的網路安全威脅之一。Cryptojacking 是一種未經授權竊取運算資源以挖掘加密貨幣的網路攻擊。未受控管的挖礦環境可能對金融產業造成沉重的財務負擔，導致巨額損失，而當硬體受損與能源消耗增加時，組織也將面臨更高的營運成本。

在這篇部落格中，我們將討論什麼是 cryptojacking，以及一些 cryptojacking 攻擊技術、偵測機制與防禦策略。我們也將說明攻擊者如何利用各種攻擊向量來散布挖礦惡意軟體，包括最常見的入侵指標，並概述防範此類威脅的最佳方法。

什麼是 Cryptojacking？

Cryptojacking 是指運算裝置遭到劫持以挖掘加密貨幣。在此過程中，攻擊者植入惡意軟體，使目標裝置執行加密貨幣挖礦所需的複雜數學運算。挖礦是指驗證加密貨幣交易並將其記錄到區塊鏈上的過程。

挖礦會使用大量運算能力。Cryptojacker 會劫持系統並利用其 CPU 和 GPU 進行挖礦。他們通常鎖定仍可透過一般電腦硬體獲利的加密貨幣，例如 Monero（因其挖礦演算法對 CPU 友善）。

為什麼 Cryptojacking 如此危險？

Cryptojacking 對組織而言可能非常嚴重，因為它可在未被偵測的情況下長時間大規模運作並造成巨大損害。它會直接影響系統效能，因為其使用 CPU 資源進行挖礦。這種使用方式會使硬體劣化，尤其是在全天候 24/7 或接近滿載運行的系統中。

此威脅不僅僅影響單一裝置。Cryptojacking 惡意軟體通常具備類蠕蟲特性，因此會在整個網路中擴散。接著，該惡意軟體會在網路內尋找其他易受攻擊的系統，並建立挖礦節點網路。此類行為會擴大攻擊面並使移除程序更加複雜。

Cryptojacking 的影響

Cryptojacking 會帶來非線性的財務影響。多個系統以最大容量運行，會導致組織的電力成本激增。持續耗損則會帶來硬體更換成本。這不僅會造成效能不佳，也會在部署這些服務時導致顯著的時間損失，並提高中斷發生的可能性。業務影響還包括以下幾點：

• 法規遵循 因執行未經授權的程式碼而遭到違反
• 因未經授權的挖礦活動而面臨法律責任風險

此外，對環境的影響也相當顯著。當這些攻擊者鎖定資料中心或雲端基礎架構時，所產生的 cryptojacking 作業會變成大規模運作，顯著推升能源消耗與碳排放。

Cryptojacking 的常見症狀

系統管理員可透過一些常見跡象發現 cryptojacking。即使在閒置狀態、沒有任何使用者應用程式執行時，高 CPU 使用率仍會持續。在工作管理員或系統監控工具中，可看到大量消耗資源的不明程序。

這類模式通常會透過網路監控揭露。受感染系統會持續對挖礦池或命令與控制伺服器（C2）發出對外連線。這些連線通常會使用與挖礦通訊協定相關的特定方法，安全團隊需要加以識別。

受影響的硬體會出現實體症狀。系統溫度升高，散熱風扇會全速運轉。如果裝置使用電池供電，電池續航力會大幅縮短。在極端情況下，這會導致系統當機或進入熱保護狀態。

透過瀏覽器進行的 Cryptojacking 具有某些指標。即使只開啟少數幾個分頁，Web 瀏覽器也會將 CPU 資源使用到上限。效能下降會持續，直到關閉相應的瀏覽器分頁為止。

Cryptojacking 攻擊的類型

雖然 cryptojacking 在過去幾年受到大量關注，但這種攻擊類型的本質遠非單一形式，而是使用各種不同的方法滲透系統並挖掘加密貨幣。這些攻擊類型在部署方式、持續存在方式以及影響程度上皆有所不同。

1. 以瀏覽器為基礎的 Cryptojacking

以瀏覽器為基礎的 Cryptojacking 表示挖礦程式碼已植入 Web 瀏覽器中，這可能是由於駭客控制了網站所致。當使用者造訪受感染網站時，JavaScript 挖礦程式會自動啟動，且不會將檔案下載到系統中；因此，使用者不會收到警示。

2. 以二進位檔為基礎的 Cryptojacking

在二進位檔驅動的攻擊中，攻擊者會將惡意可執行檔傳送到目標系統。這些挖礦程式會作為獨立程序運作，且（通常）偽裝成合法的系統服務。它們會在系統重新開機後持續存在，而且通常比以瀏覽器為基礎的方式更有效率，因為它們能直接存取硬體。

3. 供應鏈 Cryptojacking

供應鏈 cryptojacking 會劫持真實的軟體散布管道，轉而傳送挖礦惡意軟體。攻擊者會將挖礦程式碼加入軟體套件、更新或相依性中。當使用者安裝或更新受影響的軟體時，挖礦元件會連同數位簽章自動部署。

4. 無檔案式 Cryptojacking

無檔案式 cryptojacking 會在系統記憶體中完成整個程序，而不是寫入磁碟。在這些攻擊中，會使用 PowerShell 指令碼或其他原生 Windows 工具來下載並執行挖礦程式碼。由於缺乏磁碟產物，偵測會變得更加困難。

5. 雲端基礎架構 Cryptojacking

這類攻擊會鎖定雲端基礎架構中的設定錯誤雲端資源與容器。在雲端執行個體中，挖礦程式的部署是透過暴露的管理介面所呈現的攻擊面，或透過設定不當的弱憑證來完成。若使用原本合法但已遭入侵的帳戶憑證來佈建額外的雲端資源，此類攻擊的規模可能會迅速膨脹。

Cryptojacking 攻擊如何運作？

在 Cryptojacking 中，攻擊者會使用各種技術步驟來執行行動，以便部署挖礦程式碼並維持持續性。雖然每種技術都有不同的攻擊向量與不同的利用方式，但本質上都採取相似的方法，也就是在最大化挖礦效能的同時避免被偵測。

以瀏覽器為基礎的注入技術

瀏覽器型 cryptojacking 的第一步是入侵合法網站。在網域爬蟲攻擊中，駭客會透過存在弱點的外掛程式、過時的內容管理系統或遭入侵的第三方程式庫，將挖礦 JavaScript 程式碼嵌入網頁中。當這段程式碼在訪客的瀏覽器內執行時，便會透過 WebSocket 連線連接到礦池並開始挖礦。這些指令碼通常會建置節流層以降低可見性，並採用網域驗證來避免程式碼重複。

以二進位檔為基礎的攻擊

二進位檔攻擊始於透過網路釣魚、漏洞利用或惡意下載造成的初始系統入侵。它會在多個系統資料夾中投放挖礦可執行檔與支援檔案。這些檔案包含與挖礦池設定、錢包位址及 CPU 使用量相關的資訊。持續性則是透過新增登錄機碼、排程工作或安裝服務來達成。

供應鏈入侵方法

這類攻擊會鎖定軟體建置系統、更新伺服器或套件儲存庫。攻擊者會將挖礦元件加入原始碼或建置指令碼中。這些套件會保留其原本未受感染的用途，但會在背景執行挖礦。攻擊者一再利用從信譽良好的供應商合法取得的程式碼簽署憑證，以規避偵測或安全控制。挖礦程式碼會在正常安裝流程之後執行。

無檔案式惡意軟體方法

無檔案 cryptojacking 會直接在記憶體中執行挖礦程式碼，使用如 PowerShell 或 Windows Management Instrumentation (WMI) 等系統工具。此類入侵通常透過惡意指令碼或巨集發生，而這些指令碼會下載經命令伺服器加密的挖礦組態，並在記憶體中將其解碼。此攻擊會透過 WMI 事件訂閱或登錄執行機碼建立持續性，使挖礦程式碼在裝置重新開機後再次載入。

常見的 Cryptojacking 偵測技術

偵測 cryptojacking 攻擊需要監控各種系統元件並分析多種技術指標。若要真正識別其基礎架構中的挖礦活動，組織需要採用分層式方法。

1. 系統效能指標

一切都從監控 CPU 和 GPU 使用率開始，以調查是否存在 cryptojacking。像是監控處理器活動層級的工具，若偵測到持續性的高使用率且超出正常活動範圍，通常就會觸發警示。溫度感測器可提供異常溫度行為的相關資訊。應用程式監控則會顯示從不適當位置執行的高資源消耗應用程式。

2. 網路流量分析

第二種類型的偵測，也就是以網路為基礎的偵測，更著重於與 mining pool 之間的通訊。透過深度封包檢測，已揭露與已知 mining pool 網域及海外 IP 位址的連線。若流量分析工具看到與挖礦通訊協定相符的一致性資料模式，就表示有異常情況正在發生。它也會偵測到與挖礦服務之間的 SSL/TLS 加密連線。

3. 記憶體鑑識方法

記憶體分析工具會擷取記憶體快照，以分析程式碼中搭配特徵所發生的情況。它們用於偵測礦工程序注入技術。記憶體掃描器可在程序記憶體中識別加密貨幣錢包位址與 mining pool URL。透過分析執行階段，它可以找出開始符合已知挖礦演算法的特定程式碼模式。

4. PowerShell 活動監控

PowerShell 監控意味著監控無檔案挖礦偵測。安全工具會記錄並分析 PowerShell 命令執行。指令碼區塊記錄中的加密貨幣挖礦命令與組態。模組記錄會記錄用於挖礦的 PowerShell 模組使用情況。轉錄記錄會擷取完整工作階段詳細資料，以供 PowerShell 工作階段的鑑識分析使用。

5. 瀏覽器行為分析

瀏覽器監控工具會自動監控瀏覽器是否正在使用 JavaScript 進行挖礦。擴充功能分析器可偵測瀏覽器擴充功能中的挖礦程式碼。監控機制會部署在網頁上，以觀察用於挖幣的 JavaScript 執行情況。對挖礦服務的 WebSocket 連線可由網路請求分析器偵測到。

防範 Cryptojacking 的最佳實務

防止 cryptojacking 系統遭受攻擊需要結合已部署的安全控制措施與各種作業程序。這些實務可建立多層防禦，以防止初始入侵與挖礦嘗試。

1. 瀏覽器安全性設定

首先要在瀏覽器內設定某些安全性設定，以防止 JavaScript 執行特定功能。安全團隊會採用指令碼封鎖擴充功能，阻止所有作用中的挖礦程式碼執行。挖礦網域會透過 Content Security Policies 遭到封鎖。可透過瀏覽器原則在不受信任的內容中停用 WebAssembly 執行。瀏覽器更新會定期修補允許注入挖礦程式碼的弱點。

2. 網路監控實作

為了保護網路，組織必須在其基礎架構的相關位置部署監控工具。特徵由 Intrusion Detection Systems 用來識別 mining pool 流量。透過網路分段，可封鎖改以橫向移動方式傳播的挖礦惡意軟體。DNS 篩選可防止目標與被識別為 mining pool 的網域建立連線。頻寬監控可偵測來自遭劫持系統的異常流量模式。

3. 端點防護設定

端點安全工具 有助於確保防範挖礦惡意軟體的保護。應用程式白名單有助於封鎖未經授權的礦工程式執行。若偵測到挖礦程序，該程序將會被終止或移除，且無法自行執行任何惡意搭載行為。資源使用率警示可識別看似可疑的系統活動。檔案完整性監控可追蹤系統的未經授權變更。記憶體保護會阻礙礦工所採用的程式碼注入方法。

4. 安全意識要求

安全意識計畫應涵蓋 cryptojacking 威脅，以教育使用者。訓練內容包括辨識系統中的異常行為。應訓練員工如何安全地從網際網路下載並執行軟體。事件通報流程可讓組織迅速回應疑似感染事件。

5. 修補程式管理策略

修補程式管理 策略可保護系統免於已知弱點遭到利用。安全團隊應為所有系統安排定期更新。這可確保組織透過自動化修補程式部署及時獲得涵蓋。識別未修補系統，以及對整個基礎架構進行弱點掃描與修補狀態檢查，皆由組態管理進行追蹤。

結論

Cryptojacking 是一種持續演變的網路安全威脅，其複雜度與規模不斷增加。除了耗盡運算資源外，此類攻擊還會因營運成本增加、硬體損壞，以及可能發生的法規違規罰款而造成重大財務損失。對組織而言，偵測並阻止礦工程式是一項挑戰，因為它們如今採用的規避技術日益精密。

企業已準備好依據其雲端安全態勢，將解決方案路徑與成本相匹配，以實現快速偵測與回應，並提供對抗 cryptojacking 的保護。了解這些攻擊向量、以瀏覽器為基礎的注入、無檔案惡意軟體等，可讓組織部署正確的防禦措施。穩固的 cryptojacking 防禦策略將包括系統監控、網路分析與員工安全意識。